El nuevo (e histórico) Anexo 22 de las GMP: La Inteligencia Artificial entra oficialmente en la industria regulada

Para cerrar nuestra trilogía de análisis sobre la auténtica «revolución digital regulatoria» que la EMA publicó en formato borrador el pasado 7 de julio de 2025, hoy abordamos el plato fuerte: el flamante y totalmente nuevo Anexo 22 sobre Inteligencia Artificial (IA).

Estábamos esperándolo. La IA y el Machine Learning (ML) ya estaban llamando a la puerta de nuestras plantas de fabricación y laboratorios de control de calidad, pero operábamos en un vacío legal incómodo. Con la publicación de este borrador, la EMA marca un hito histórico: por primera vez, el uso de la Inteligencia Artificial en entornos GMP está formalmente reconocido y regulado.

Sin embargo, que nadie espere barra libre. Las agencias han puesto unas barreras de contención sumamente estrictas. A continuación, diseccionamos técnicamente lo que nos exige este nuevo marco normativo.

1. El Alcance: Lo que entra y, sobre todo, lo que se queda fuera

El primer baño de realidad que nos da el Anexo 22 es su alcance. Si estabas pensando en conectar un ChatGPT a tu sistema de liberación de lotes, olvídate. El borrador es tajante estableciendo los límites:

• Solo Modelos Estáticos y Deterministas: La norma solo aplica a modelos de IA/ML que han sido «congelados» tras su entrenamiento. Es decir, ante un mismo input, el modelo siempre debe dar el mismo output.
• Prohibición de Modelos Dinámicos: Los modelos adaptativos (aquellos que siguen aprendiendo de forma autónoma en producción) están excluidos de las áreas críticas GMP. Las agencias priman la previsibilidad por encima de todo.
• Cero Generative AI: Las IAs generativas (como los LLM) quedan explícitamente excluidas de este marco para la toma de decisiones con impacto GMP.

2. Adiós a las «Cajas Negras»: Explicabilidad obligatoria (Explainability)

Uno de los grandes dolores de cabeza de QA con la IA es el concepto de «caja negra». El Anexo 22 soluciona esto exigiendo que las decisiones del modelo sean explicables, citando de hecho herramientas técnicas específicas como SHAP (Shapley Additive exPlanations), LIME o mapas de calor (heatmaps).

Si el algoritmo clasifica un dato de forma anómala o recomienda rechazar un lote, debe poder demostrar qué variables tuvieron más peso en esa decisión. La transparencia algorítmica ya es un requisito GMP auditable.

3. Criterios de Aceptación Estadísticos: El fin de la validación tradicional

Validar una IA no es como validar un ERP. El borrador obliga a abandonar la validación puramente funcional para abrazar la validación estadística. Se exige el establecimiento previo de métricas de rendimiento matemáticas.

El documento menciona explícitamente que los criterios de aceptación deben incluir métricas como la sensibilidad, la especificidad y el valor F1 score. Además, impone una regla de oro: el modelo de IA debe igualar o superar el rendimiento del proceso manual o clásico al que sustituye.

4. El blindaje de los Datos: Independencia y Deriva (Drift)

El Anexo 22 introduce conceptos de pura ciencia de datos en nuestra normativa de calidad:

• Independencia de los Datos de Prueba: Se exige una separación estricta y demostrable entre los datos usados para entrenar el modelo (Training Data) y los usados para validarlo (Test Data). Se requerirán controles de acceso y trazabilidad para evitar que el modelo «haga trampas» o sufra de sobreajuste (overfitting).
• Monitorización del Input Drift (Deriva de datos): Un modelo validado hoy puede fallar mañana si los datos que recibe cambian sutilmente con el tiempo. El Anexo obliga a realizar una monitorización continua de la deriva del espacio de entrada, estableciendo puntos de activación (triggers) para re-validar el modelo.

5. Human-in-the-loop y Puntuaciones de Confianza

Las agencias no van a ceder el volante a la máquina. El borrador requiere que se definan roles claros de supervisión humana (human-in-the-loop).

De forma muy técnica, se exige que las predicciones del modelo registren una «puntuación de confianza» (confidence score). Si el algoritmo toma una decisión con una confianza matemáticamente baja, el sistema debe catalogarla por defecto como «indecisa» y derivarla de forma automatizada para una revisión humana obligatoria.

¿Por dónde empezamos? La hoja de ruta operativa

El impacto de este Anexo es brutal. Para los que ya estéis integrando IA en vuestros sistemas de visión artificial, revisión de batch records o control estadístico de procesos, os recomiendo las siguientes acciones:

1. Nuevos Comités Multidisciplinares

QA ya no puede validar esto solo. Necesitamos equipos donde Garantía de Calidad, IT, los Expertos de la Materia (SMEs) y Data Scientists hablen el mismo idioma.

2. Gobernanza de Datos de Entrenamiento

Revisad la calidad, el etiquetado y la representatividad estadística de vuestras bases de datos históricas. Una IA entrenada con datos sesgados o no representativos no pasará una inspección.

3. Actualización del PNT de Validación de Sistemas

Cread apéndices específicos en vuestro VMP (Validation Master Plan) para sistemas de IA, detallando cómo vais a medir el F1 score, cómo aseguraréis la explicabilidad (LIME/SHAP) y la estrategia de reentrenamiento.

---

Este Anexo 22 es un paso de gigante. Nos da las herramientas para innovar, pero nos exige un rigor científico y estadístico extremo. Ya no se trata solo de que el software no falle; se trata de demostrar por qué la máquina ha tomado una decisión crítica para la salud del paciente.

¿Están vuestros departamentos de Calidad preparados para revisar algoritmos, matrices de confusión y niveles de confianza estadística? ¿Cómo veis la barrera impuesta a los modelos dinámicos?

Espero vuestros comentarios y debates. Saludos y gracias por leerme.